Securitas Sverige Aktiebolag

Beslut

IMY-2025-10429 Beslut efter tillsyn enligt

dataskyddsförordningen – Securitas Sverige AB

Integritetsskyddsmyndighetens beslut

Integritetsskyddsmyndigheten (IMY) konstaterar att Securitas Sverige AB (organisationsnummer är 556108-6082) under tiden den 2 till 18 december 2024 och den 9 april till 31 maj 2025 har behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen genom att inte ha rättslig grund för behandlingen av personuppgifter som skett genom användning av bevakningskameror inuti bolagets bilar.

IMY ger Securitas Sverige AB en reprimand med stöd av artikel 58.2 b i dataskyddsförordningen för överträdelsen av artikel 6.1.

Redogörelse för tillsynsärendet

Bakgrund

IMY har via ett antal klagomål fått information om att Securitas Sverige AB (Securitas/bolaget) i sina rondbilar installerat kameror som filmar de anställda under deras arbetspass. Detta ska bland annat ha skett i Örebro, Skövde, Märsta och Helsingborg.

IMY har inlett tillsyn mot Securitas i syfte att utreda om den personuppgiftsbehandling som detta innebär har haft stöd i en rättslig grund enligt artikel 6.1 i dataskyddsförordningen, om information har lämnats till dem vars personuppgifter behandlas samt om säkerhetsnivån varit lämplig vid förvaring av personuppgifterna.

Vad Securitas har uppgett

Securitas har i huvudsak uppgett följande.

Bevakningens omfattning

Securitas har inte aktiverade inåtriktade kameror i sina arbetsbilar i dagsläget, men genomförde ett pilotprojekt under december 2024 till juni 2025. Projektet bedrevs i

Skövdeområdet, Örebro, Helsingborg och Märsta. I dagsläget finns inga beslut om att återinföra inspelning med inåtriktade kameror i Securitas bilar.

Under pilotprojektet var dels inspelningsfunktionen för inåtriktade kameror aktiverad för vissa fordon under en viss tid, dels var teknik för realtidsdetektering aktiverad i vissa fordon under två tidsperioder. Kamerorna var placerade under backspegeln i framrutan och täckte fordonshytten, vilket innebar att de fångade förarens beteende under körning.

Inspelningsfunktionen var aktiverad samtidigt i cirka 53 fordon, i genomsnitt under 10,7 dagar per bil under en period den 2–16 december 2024. Under denna tid använde 119 anställda förare bilarna för minst en resa. Kamerabevakningen var aktiv när bilen var i drift, det vill säga när bilen började röra på sig och stängdes av en tid efter att bilen stannat.

Tekniken för realtidsdetektering var successivt aktiverad under den 2–18 december 2024 i sammanlagt 53 fordon, samt den 9 april–31 maj 2025 i totalt 42 fordon. Tekniken avsåg att i realtid detektera vissa händelser genom bildanalys. Dessa var om föraren rökte (denna stängdes dock av den 11 april 2025), om föraren använde mobiltelefon, om föraren var ouppmärksam, om föraren saknade säkerhetsbälte samt om kameran var täckt. Vid en sådan händelse visades först en varningsikon på en display i bilen, och om beteendet inte korrigerades inom 10–20 sekunder visades ytterligare en varning och händelsen registrerades.

Teknisk säkerhet och hantering av inspelat material

Under perioden 2–16 december 2024 när inspelningsfunktionen var aktiverad spelades material in på lokala minneskort i bilarna, där de senaste 100 timmarna lagrades i varje bil innan äldre inspelningar skrevs över. Vid särskilda händelser, som höga g-krafter eller andra riskfyllda beteenden, sparades korta filmklipp eller stillbilder i 90 dagar. Åtkomst till inspelningarna var strikt reglerad och skyddad genom flera säkerhetsåtgärder. Minneskorten var monterade i en enhet bakom ett fysiskt lås i bilen och åtkomst till den fulla inspelningssekvensen tilldelades endast tekniska installatörer. Filmklipp som sparades vid registrerade händelser överfördes krypterat till en server och lagrades även i krypterad form. Åtkomst till filmklippen var begränsad.

Syfte med kamerabevakningen

Syftet med kamerabevakningen var 1. att kunna återkoppla till registrerade om riskfyllda förarbeteenden och efterleva arbetsmiljökrav, 2. att minimera person- /fordonsskador samt 3. att utreda ansvars- och försäkringsfrågor kring olyckor.

Behandlingen skedde inte i syfte att detaljövervaka förarens dagliga generella arbetsutförande, utan avsåg just fordonens framförande och det övergripande syftet var kopplat till Securitas skadeförebyggande arbeten och bolagets ambition att förhindra och minska skador.

Rättslig grund

Securitas har uppgett följande bestämmelser om rättslig grund enligt dataskyddsförordningen till stöd för den aktuella kamerabevakningen.

Rättslig förpliktelse, artikel 6.1 c

Securitas har en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen som arbetsgivare och som företag avseende bolagets ansvar för anställdas arbetsmiljö. Det framgår av 3 kap. 2 § arbetsmiljölagen (1977:1160) som anger att arbetsgivaren ska vidta alla åtgärder som behövs för att förebygga att arbetstagaren utsätts för ohälsa och olycksfall och att undanröja risker samt beakta särskilda risker som kan följa av att arbetstagaren arbetar ensam, samt 3 kap. 2 a § samma lag där det framgår att arbetsgivaren systematiskt ska planera, leda och kontrollera verksamheten på ett sätt som leder till att arbetsmiljön uppfyller föreskrivna krav på en god arbetsmiljö. Det avser även reglerna i 11–12 §§ Arbetsmiljöverkets föreskrifter och allmänna råd (AFS 2023:1) om systematiskt arbetsmiljöarbete gällande undersökning och riskbedömningar.

I ovan ingår att Securitas som arbetsgivare har ett brett ansvar sett till arbetstagarnas säkerhet, där lösningen som helhet utvärderades under pilotprojektet som ett led i att förebygga ohälsa och olycksfall samt att utreda sådana händelser och beakta risker. I det bör beaktas att arbetsmiljö med fordon i trafik är förknippat med höga risker särskilt inom ramen för Securitas verksamhet.

Berättigat intresse, artikel 6.1 f

Securitas har vidare uppgett att kamerabevakningen varit nödvändig för bolagets berättigade intresse enligt artikel 6.1 f i dataskyddsförordningen, dvs. att minimera skador och säkerställa god fordonsekonomi genom uppföljning kring försäkringsutredning och reparationskostnader. Behandlingen är också nödvändig för Securitas berättigade intresse att hantera incidentrapporter och utreda påstådda tjänstefel, missförhållanden, bristande efterlevnad av Securitas tillämpliga policyer samt att skydda sig mot tvister mot försäkringsbolag.

Securitas är ett stort publikt säkerhetsföretag inom en samhällsviktig sektor med ett särskilt förtroende och krav på säkerhet, tillförlitlighet och ansvarstagande. Bolaget agerar i särskilt riskutsatta miljöer med högre grad av stress än i många andra företag. De registrerade arbetar med utförande av uppdrag inom säkerhetsbranschen vilket motiverar högre krav på såväl behandling, säkerhetsrutiner, skademinimeringsinsatser och uppföljning. Behandlingen har varit rimlig, förutsebar, informerad och medfört tydliga fördelar även för de registrerade; bland annat genom direkt feedback om osäker körning och skapandet av en säkrare arbetsmiljö. Det har även funnits fördelar för allmänheten i form av minskning av antalet olyckor och skador med fordon, och för Securitas vad gäller minskning av skador och möjlighet att följa upp skador. Utan behandlingen är möjligheterna att upptäcka, varna och följa upp framförandet av fordon avsevärt begränsade vilket förhindrar uppfyllandet av ändamålen. Lämpliga säkerhetsåtgärder har därtill funnits på plats.

Behandlingen bedömdes som nödvändig då det utan tekniken inte var möjligt att ge tydlig och direkt feedback till förarna om osäkra körbeteenden och därmed kunna uppnå syftena, och inspelat material är avgörande underlag för att kunna utreda och följa upp händelser vid olyckor inklusive hantering av försäkringsärenden och försäkringstvister. Inspelningarna var begränsade genom att inte innefatta ljud och genererade filmklipp var förbestämda till ett fåtal fördefinierade händelser som bedömts relevanta. De sparade filmklippen lagrades även under kortare tid.

Securitas har under flera år innan den aktuella kamerabevakningen provat andra alternativa åtgärder men utan avsedd effekt. Det har bland annat inkluderat genomförandet av olika informationsinsatser i form av meddelande, filmer, skrivna regler m.m., med varierande men otillräckligt resultat. Flertalet alternativa lösningar hade prövats över en längre tid, inklusive sensorbaserade system, men bedömdes inte vara tillräckliga eller till fullo kunna uppfylla syftena. Behandlingen i fråga har skett inom ramen för ett begränsat pilotprojekt för att utvärdera effekten och visat sig utgöra en effektiv lösning sett utifrån ändamålen.

En avvägning gjordes mellan Securitas behov av bevakningen och de anställdas integritet. Vid avvägningen mot de registrerades intressen beaktades deras intresse av att inte bli bevakade under arbetstid. De huvudsakliga riskerna bedömdes vara brister i konfidentialitet och skadat anseende om filmklipp fick större spridning än avsett. Riskerna bedömdes dock inte som höga och riskminimerande åtgärder hade vidtagits för att minska risken för obehörigt röjande.

Det beaktades även att behandlingen varit transparent genom informationsgivning i flera led, inklusive i anslutning till bilen. Vidare beaktades att behandlingen syftade till att förbättra säkerheten, minska risken för person- och sakskador samt underlätta hanteringen av försäkringsärenden, vilket även kunde gynna de registrerade.

Bolaget bedömde att behandlingen var nödvändig för att uppnå syftena, särskilt eftersom alternativa åtgärder inte hade gett tillräcklig effekt. Pilotprojektet utformades därför för att utvärdera en mer riktad lösning, där förarna fick direkt feedback om sitt körbeteende.

Omfattningen av IMY:s prövning i ärendet

IMY har avgränsat prövningen i ärendet dels till frågan om Securitas haft rättslig grund enligt artikel 6.1 i dataskyddsförordningen för den kamerabevakning som skett invändigt i bolagets bilar, och dels frågan om säkerhetsnivån har varit lämplig vid förvaringen av personuppgifterna enligt artikel 32.1 i dataskyddsförordningen. IMY har däremot inte att granskat den bevakning som påstås ha skett utanför Securitas bilar eller om andra bestämmelser i dataskyddsförordningen varit uppfyllda.

Motivering av beslutet

Vilken lagstiftning gäller för aktuell kamerabevakning?

Kamerabevakning innebär typiskt sett att det sker en personuppgiftsbehandling. Om och i vilken utsträckning det är tillåtet att kamerabevaka regleras i dataskyddsförordningen och kamerabevakningslagen (2018:1200). Mot bakgrund av tillsynens omfattning aktualiseras dock inga bestämmelser i kamerabevakningslagen i detta fall.

Dataskyddsförordningen ska enligt artikel 2.1 tillämpas på behandling av personuppgifter som helt eller delvis företas på automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Om en bevakningskamera filmar en identifierbar person, eller någon annan personuppgift, sker en behandling av personuppgifter och reglerna i dataskyddsförordningen måste följas.

IMY konstaterar att Securitas bevakningskameror filmat identifierbara personer och att dataskyddsförordningens bestämmelser därmed gäller avseende aktuell personuppgiftsbehandling.

IMY kommer inledningsvis ta ställning till om Securitas är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter. IMY prövar därefter om Securitas har haft rättslig grund för behandlingen samt om bolaget haft tillräcklig säkerhet vid lagringen av de personuppgifter de har behandlat, på det sätt som krävs enligt dataskyddsförordningen.

Personuppgiftsansvar

Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

Securitas har uppgett att bolaget är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen gäller. Av utredningen har framkommit att bolaget bestämt hur personuppgifterna ska behandlas och för vilka ändamål. IMY bedömer därför att Securitas är personuppgiftsansvarig för den aktuella behandlingen av personuppgifter.

Rättslig grund för behandlingen

För att den aktuella kamerabevakningen ska vara tillåten krävs att bestämmelserna i dataskyddsförordningen följs. I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är det den personuppgiftsansvarige som ansvarar för och ska kunna visa att reglerna i dataskyddsförordningen följs, däribland att behandlingen är laglig. Det innebär bland annat att Securitas måste ha stöd för sin kamerabevakning i minst en av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen.

Har Securitas haft rättslig grund för sin kamerabevakning enligt artikel 6.1 c i dataskyddsförordningen?

Securitas har uppgett att en av de rättsliga grunder på vilken de stödjer sin kamerabevakning är rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Bolaget menar att det av bestämmelserna i 3 kap. 2–2 a §§ arbetsmiljölagen samt 11– 12 §§ i AFS 2023:1 framgår att det föreligger en sådan rättslig förpliktelse som avses i artikel 6.1 c i dataskyddsförordningen.

Tillämpliga bestämmelser m.m.

Av artikel 6.1 c i dataskyddsförordningen framgår att behandlingen ska vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

Av artikel 6.3 i dataskyddsförordningen framgår att den grund för behandlingen som avses i artikel 6.1 c ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Enligt 2 kap. 1 § dataskyddslagen (2018:218) får personuppgifter behandlas med stöd av artikel 6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

En rättslig förpliktelse kan inte utgöra en rättslig grund för behandling av personuppgifter om förpliktelsen är för svepande och ger den personuppgiftsansvarige en alltför stor handlingsfrihet i fråga om hur den ska uppfyllas. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart.

I 3 kap. 2–2 a §§ arbetsmiljölagen anges att arbetsgivaren ska vidta alla åtgärder som behövs för att förebygga att arbetstagaren utsätts för ohälsa och olycksfall och att undanröja risker samt beakta särskilda risker som kan följa av att arbetstagaren arbetar ensam. Det framgår vidare att arbetsgivaren systematiskt ska planera, leda och kontrollera verksamheten på ett sätt som leder till att arbetsmiljön uppfyller föreskrivna krav på en god arbetsmiljö inklusive att utreda arbetsskador, fortlöpande undersöka riskerna i verksamheten och vidta de åtgärder som föranleds av detta samt dokumentera arbetsmiljön och arbeta med denna.

Enligt 11–12 §§ i AFS 2023:1 ska arbetsgivaren regelbundet undersöka arbetsmiljöförhållandena, för att bedöma risker för ohälsa och olycksfall i arbetet. När ändringar i verksamheten planeras, ska arbetsgivaren undersöka om ändringarna medför risker för ohälsa eller olycksfall och bedöma dessa. Riskbedömningar ska alltid dokumenteras skriftligt. Av dokumentationen ska det framgå vilka riskerna är, och om de är allvarliga. Om någon arbetstagare råkar ut för ohälsa eller olycksfall i arbetet, eller om något allvarligt tillbud inträffar i arbetet, ska arbetsgivaren utreda orsakerna så att risker för ohälsa och olycksfall kan förebyggas.

IMY:s bedömning

IMY konstaterar att den skyldighet enligt 3 kap. 2–2 a §§ arbetsmiljölagen samt 11–12 §§ i AFS 2023:1 som Securitas åberopat är fastställd på det sätt som anges i 2 kap. 1 § dataskyddslagen.

IMY bedömer att den aktuella behandlingen varit av integritetskänsligt slag. Detta eftersom den inneburit bevakning i realtid av anställda under den tid dessa kört sina arbetsbilar under perioden 2–18 december 2024 samt mellan 9 april–31 maj 2025, samt med inspelning mellan 2–16 december 2024. Bevakningen har omfattat anställda på deras arbetsplats där de måste befinna sig under sitt arbetspass. De registrerade har befunnit sig i en beroendeställning till sin arbetsgivare och har inte haft möjlighet att undvika bevakningen när de kört sina fordon. Detta innebär att högre krav ställs på den rättsliga förpliktelsens precisering.

IMY anser att bestämmelserna i 3 kap. 2–2 a §§ arbetsmiljölagen samt 11–12 §§ i AFS 2023:1 är allmänt hållna. IMY anser att bestämmelserna varken ensamt eller tillsammans är tillräckligt tydliga och precisa för att göra intrånget förutsägbart. De aktuella bestämmelserna kan därför inte ligga till grund för den integritetskänsliga personuppgiftsbehandling som är aktuell i detta fall.

Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 c i dataskyddsförordningen.

Har Securitas haft rättslig grund för sin kamerabevakning enligt artikel 6.1 f i dataskyddsförordningen?

Securitas har även uppgett att de stödjer sin personuppgiftsbehandling på den rättsliga grunden berättigat intresse i artikel 6.1 f i dataskyddsförordningen.

Tillämpliga bestämmelser m.m.

För att en behandling ska kunna stödjas på den rättsliga grunden berättigat intresse (även kallad intresseavvägning) i artikel 6.1 f i dataskyddsförordningen krävs att tre villkor är uppfyllda. För det första ska det finnas ett eller flera berättigade intressen för den personuppgiftsansvarige eller tredje part. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det berättigade intresset. För det tredje krävs att de registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än den personuppgiftsansvariges eller tredje partens berättigade intresse (intresseavvägning).

Det berättigade intresset ska vara lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt. Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som föreligger vid tidpunkten för behandlingen och inte är hypotetiskt. För att strävan efter att ett sådant berättigat intresse ska kunna möjliggöra en behandling av personuppgifter med stöd av artikel 6.1 f måste den personuppgiftsansvarige uppfylla alla andra skyldigheter enligt dataskyddsförordningen.

Av EU-domstolens praxis framgår att kravet på nödvändighet är uppfyllt om det berättigade intresset inte rimligtvis kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Det räcker inte att behandlingen är användbar för att uppfylla det berättigade intresset, EU-domstolen har också angett att behandlingen måste vara strängt nödvändig. Kravet på nödvändighet ska prövas tillsammans med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Det innebär att personuppgifterna som behandlas ska vara adekvata och relevanta och inte omfatta mer än vad som är

nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas.

Den intresseavvägning som krävs enligt det tredje villkoret ska göras mot bakgrund av de konkreta omständigheterna i det aktuella fallet. Den personuppgiftsansvarige ska vid avvägningen identifiera och beakta den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på den registrerade och huruvida den registrerade rimligen kan förvänta sig behandling för det aktuella ändamålet. Vid bedömningen av behandlingens påverkan ska hänsyn tas till karaktären på uppgifterna som behandlas, om det rör sig om känsliga personuppgifter, behandlingens sammanhang och övriga konsekvenser. Utifrån dessa omständigheter ska en avvägning göras av motstående rättigheter och intressen, som ska inkludera möjligheten till ytterligare förmildrande åtgärder som går utöver vad den personuppgiftsansvarige är skyldig att göra för att följa reglerna i dataskyddsförordningen.

IMY:s bedömning

Berättigat intresse

Securitas har uppgett att de har haft följande berättigade intressen för den behandling de har utfört. Dels att säkerställa god fordonsekonomi genom uppföljning kring försäkringsutredning och reparationskostnader. Dels att hantera incidentrapporter och utreda påstådda tjänstefel, missförhållanden och bristande efterlevnad av Securitas tillämpliga policyer samt att skydda sig mot tvister mot försäkringsbolag.

IMY bedömer att bolagets intressen av behandlingen har varit lagenliga, verkliga och faktiska. IMY konstaterar därför att Securitas har haft ett berättigat intresse i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

Nödvändighet och intresseavvägning

För att behandlingen ska vara laglig krävs det även att den är nödvändig för att tillgodose det berättigade intresset. Nödvändighetsrekvisitet ska prövas tillsammans med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Bolaget har angett att de har prövat alternativa åtgärder men att dessa inte gett önskad effekt. Vidare har behandlingen genomförts inom ramen för ett begränsat pilotprojekt för att utvärdera effekten av åtgärden. Pilotprojektet har visat att åtgärden varit verkningsfull för att uppnå de angivna ändamålen. Enligt bolaget skulle möjligheterna att upptäcka, varna och följa upp framförandet av fordon varit avsevärt begränsade utan denna behandling.

Vad gäller det tredje villkoret ska vid intresseavvägningen bolagets berättigade intresse vägas mot de registrerades intressen och grundläggande rättigheter och friheter, framför allt rätten till respekt för privatlivet och rätten till skydd för personuppgifter i det aktuella fallet.

För att en personuppgiftsbehandling med stöd av berättigat intresse ska vara laglig krävs att den registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre än bolagets berättigade intresse. I arbetslivet, där arbetstagaren befinner sig i en beroendeställning gentemot arbetsgivaren, ställs därmed höga krav på att arbetsgivaren kan visa att behandlingen är proportionerlig och att arbetsgivarens intresse väger tyngre än arbetstagarnas intresse av skydd för sin personliga integritet.

Kamerabevakning av arbetsplatser kan medföra särskilda risker för de anställdas personliga integritet. Många anställda måste vistas regelbundet på platser som kamerabevakas av arbetsgivaren och kan samtidigt känna olust inför att invända mot kamerabevakningen eller påtala brister på grund av det särskilda beroendeförhållande som anställningsförhållandet innebär.

Som nämnts ovan har IMY konstaterat att den aktuella kamerabevakningen varit av integritetskänsligt slag. Detta eftersom den inneburit bevakning i realtid av anställda under hela den tid dessa kört sina arbetsbilar under perioden 2–18 december 2024 samt 9 april–31 maj 2025, dessutom bevakning med inspelning den 2–16 december 2024. Bevakningen som har utförts av bolaget har omfattat anställda på deras arbetsplats där de måste befinna sig under sitt arbetspass. Bevakningen har därmed skett kontinuerligt under arbetspasset och de anställda har i det aktuella fallet haft begränsade möjligheter att undvika behandlingen eftersom de behövt befinna sig i fordonet för att kunna utföra sina arbetsuppgifter. De har därmed inte haft någon reell möjlighet att välja bort bevakningen eller att undandra sig behandlingen under arbetstid. IMY bedömer att detta utgjort en systematisk bevakning av arbetstagare och att behandlingen är av integritetskänslig karaktär.

Vid bedömningen beaktar IMY att den aktuella bevakningen har inneburit att en kamera varit riktad mot den anställde och registrerat denne under hela tiden fordonet framförts. Bevakningen har skett i ett begränsat utrymme där den anställde under lång tid befunnit sig ensam framför kameran. Kamerans upptagningsområde har varit framsätet av bilen. Den anställde har därmed varit i fokus och bevakningen har avsett den anställdes beteende och agerande i tjänsten. Systemet som detekterade vissa händelser genom bildanalys varnade inte bara föraren utan vissa varningar förmedlades även till arbetsgivaren. Kontinuerlig registrering riskerar att skapa en känsla av ständig kontroll och kan påverka den personliga integriteten i betydande grad. Att kameran under en period även har spelat in den registrerade höjer integritetsintrånget.

IMY bedömer att den behandling som har skett har inneburit systematisk övervakning av anställda, som inte kunnat undkomma bevakningen, under stora delar av deras arbetsdag och därmed har varit av ett integritetskänsligt slag. Beroendeförhållandet mellan den anställde och arbetsgivaren gör att kraven skärps och att arbetsgivare måste vara restriktiva vid sådan behandling som skett i nu aktuellt fall.

IMY anser att utredningen ger visst stöd för att den aktuella behandlingen kan anses ha varit nödvändig för ändamålen. För detta talar särskilt att bolaget har vidtagit alternativa åtgärder men att dessa har bedömts vara otillräckliga. Även om behandlingen kan ha varit nödvändig för att uppnå de berättade intressena finner dock IMY vid en sammantagen bedömning att bolagets intressen inte väger tyngre än de anställdas rätt att inte bli föremål för sådan kontinuerlig kamerabevakning i arbetet. Det är därmed inte visat att det tredje villkoret i artikel 6.1. f i dataskyddsförordningen är

uppfyllt. Den aktuella behandlingen kan därmed inte stödjas på artikel 6.1 f i dataskyddsförordningen.

Mot bakgrund av att IMY inte anser att bevakningen har rättslig grund i dataskyddsförordningen finner IMY inte anledning att bedöma om bolaget har tillhandahållit den information till de registrerade som de är skyldiga att göra enligt artikel 13 i dataskyddsförordningen.

Har Securitas haft tillräcklig säkerhet för de personuppgifter de har behandlat?

Tillämpliga bestämmelser m.m.

I artikel 5.1 f i dataskyddsförordningen framgår att vid behandling av personuppgifter ska de behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).

Av artikel 32.1 i dataskyddsförordningen framgår vidare att den personuppgiftsansvarige ska med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

IMY:s bedömning

Securitas har redogjort för hur hanteringen sett ut för det sparade bevakningsmaterialet från bilarna samt hur länge materialet har sparats. Detta inkluderar hanteringen av de minneskort där inspelat material sparats, samt tekniska och organisatoriska åtgärder, t.ex. vilka som har haft tillgång till bevakningsmaterialet.

IMY finner vid en sammantagen bedömning av vad som framkommit i ärendet att Securitas har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32.1 i dataskyddsförordningen för att säkerställa ett tillräckligt skydd för de personuppgifter de har behandlat i samband med lagringen av bevakningsmaterialet. IMY finner inget som tyder på att hanteringen av det lagrade materialet brutit mot de krav på lämplig säkerhet som finns i artikel 32.1 i dataskyddsförordningen.

Sammanfattande bedömning

Sammanfattningsvis bedömer IMY att Securitas inte har kunnat grunda den aktuella behandlingen av personuppgifter på varken artikel 6.1 c eller artikel 6.1 f i dataskyddsförordningen. Det har inte heller framkommit att bolaget haft stöd för behandlingen i någon av de andra rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Securitas har därmed behandlat personuppgifter i strid med artikel 6.1 i dataskyddsförordningen under tiden den 2 till 18 december 2024 och den 9 april till 31 maj 2025 i samband med användning av kameror inuti bolagets bilar.

IMY bedömer att Securitas har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32.1 i dataskyddsförordningen för att säkerställa ett tillräckligt skydd för de personuppgifter de har behandlat i samband med bevakningen.

Val av ingripande

Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i dataskyddsförordningen för överträdelser av artikel 6 i förordningen.

Beroende på omständigheterna i det enskilda fallet ska administrativa sanktionsavgifter påföras utöver eller i stället för de andra åtgärder som avses i artikel 58.2, som till exempel reprimand, förelägganden och förbud. Vidare framgår av artikel 83.2 vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 istället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

IMY har bedömt att Securitas har saknat rättslig grund för den behandling av personuppgifter som prövningen gäller. Vidare konstaterar IMY att den aktuella kamerabevakningen har skett inom ramen för ett begränsat pilotprojekt vad gäller antalet bilar som berörts av bevakningen och under en begränsad tidsperiod. Behandlingen har avslutats och det har inte framkommit att personuppgifterna använts för andra ändamål än de uppgivna. Det har inte heller framkommit några tidigare relevanta överträdelser från bolagets sida.

Överträdelsen avser samtidigt en integritetskänslig behandling i arbetslivet, vilket är en omständighet som talar i skärpande riktning. Lagstridig övervakning av anställda som sker upprepat eller annars på ett systematiskt sätt bör normalt motivera en kännbar sanktionsavgift. I detta fall rör det sig dock om ett pilotprojekt där behandlingen pågått under en begränsad tid. Vid en samlad bedömning anser IMY därför att det är fråga om en sådan mindre överträdelse som avses i skäl 148 i dataskyddsförordningen och att en reprimand är en tillräcklig och proportionerlig åtgärd för att markera överträdelsen och säkerställa efterlevnaden av dataskyddsförordningen.

Mot den bakgrunden bedömer IMY att Securitas ska ges en reprimand enligt artikel 58.2 b i dataskyddsförordningen för överträdelsen.

__________________________

Detta beslut har fattats av enhetschefen Jenny Bård efter föredragning av juristen Anders Haag. Vid den slutliga handläggningen av ärendet har även juristen Sebastian Caicedo Gordh, avdelningsjuristen Sarah Bodlander och IT- och informationssäkerhetsspecialisten Andreas Majunie medverkat.

Jenny Bård

Kopia till

Dataskyddsombudet

Hur man överklagar

Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

Tillsynsskrivelse

IMY-2025-10429 Tillsyn enligt dataskyddsförordningen

– begäran om information

Tillsyn av kameraövervakning av anställda

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

Varför granskar IMY er verksamhet?

IMY har fått information om att ni i era rondbilar installerat kameror som filmar de anställda under deras arbetspass. Detta ska bland annat ha skett i Örebro, Skövde, Märsta och Helsingborg.

IMY har inlett tillsyn för att utreda bland annat om behandlingen har haft stöd i en rättslig grund enligt artikel 6 i dataskyddsförordningen, om information har lämnats till dem vars personuppgifter behandlas samt om säkerhetsnivån är lämplig vid förvaring av personuppgifterna. IMY avser att utreda den bevakning som påstås ske invändigt i era bilar. IMY kommer däremot inte att granska den bevakning som påstås ske utanför era bilar. Vi ber er därför att svara endast utifrån den eventuella bevakning som sker inne i era bilar och inte utifrån den eventuella bevakning som sker utvändigt från era bilar.

Våra frågor

Personuppgiftsansvar

1. Vilket är ert organisationsnummer? 2. Är ni personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen? Om ni anser att ni inte är personuppgiftsansvarig, ange vem den personuppgiftsansvariga är samt varför ni anser det.

Om ni anser att ni är personuppgiftsansvarig för den personuppgiftsbehandling som tillsynen avser, vänligen svara på följande frågor. Bevakningens omfattning 3. Har ni bedrivit eller bedriver ni för närvarande kamerabevakning i era arbetsbilar? Om ja, besvara även följande frågor.

4. Bedriver ni bevakning i alla era arbetsbilar eller bara i vissa bilar? Om bevakning endast bedrivs i vissa arbetsbilar, beskriv i vilka kategorier av bilar som bevakning sker och varför. 5. Hur många anställda totalt omfattas av den aktuella bevakningen? 6. Beskriv var kamerorna är placerade i bilarna och vad i bilen som omfattas av kamerornas upptagningsområden. 7. Under vilka tider bedriver ni kamerabevakning i era arbetsbilar? 8. När började ni bedriva kamerabevakning i era arbetsbilar? 9. Kan ni titta på kamerabevakningen i realtid (livebevakning)? Om ja, på vilket sätt kan ni titta på realtidsbevakningen och vilka personer/funktioner har tillgång till den? 10. Avlyssnar eller spelar ni in ljud i bilarna? Om ja: a) Är det frågan om inspelning och/eller avlyssning av ljud? b) Ange syftet med ljudavlyssningen och/eller ljudinspelningen. c) Om ljud spelas in, hur länge lagras materialet och vem har tillgång till det? 11. Använder ni kamerasystemet för att registrera varningar gällande förarens beteende, så som - Om föraren röker? - Om föraren pratar i mobiltelefon? - Om föraren bromsar in hårt eller accelererar kraftigt? - Om kurvtagningen är hård? - Om föraren är ouppmärksam? - Några andra beteenden, och i så fall vilka? a) Beskriv vad som händer om och när systemet registrerar varningar om beteenden enligt ovan? b) Verifierar ni att registreringarna av beteendena stämmer överens med verkliga förhållanden? Hur och när gör ni dessa kontroller? c) Vilka åtgärder vidtar ni om det uppmärksammas att en registrering är felaktig?

Hanteringen av bevakningsmaterial

12. Sparar eller har ni sparat inspelat filmmaterial från kameran? Om ni sparar material, beskriv hur länge ni sparar detta. 13. Hur ser hanteringen ut för minneskortens och dess data från det att minneskorten stoppas in i kameran och inspelning börjar och vad händer med minneskorten och dess data efter inspelning är klar?

Bevakningens syfte och stöd enligt dataskyddsförordningen

14. Vilket eller vilka ändamål har ni med kamerabevakningen? 15. Vilken rättslig grund enligt GDPR stödjer ni er på för att använda kamerabevakning? Motivera varför den grunden är tillämplig avseende aktuell bevakning. 16. Har ni vidtagit några alternativa åtgärder för att uppnå syftet med bevakningen? Om ja, beskriv vilka åtgärder ni har vidtagit och när samt varför dessa inte har varit tillräckliga för att uppnå syftet. 17. Vilken information om bevakningen har ni givit till de anställda och när gavs den informationen?

Era svar

Svara skriftligt till IMY senast den 10 juli 2025.

Ange IMY-2025-10429 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

Måste ni svara IMY?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Beslut kan komma att fattas redan när vi har fått ert svar på tillsynsskrivelsen. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

Om ni har frågor om ärendet kontakta: Anders Haag, telefon 08-515 154 32

Anders Haag, jurist IMY

Anders Haag

Kopia till:

Dataskyddsombudet: dpo@securitas.se

Information om IMY:s behandling av personuppgifter

https://

.